Modify the trust policy of a RAM role - Resource Access Management

Modifiez la politique d'approbation d'un rôle RAM pour changer son principal en un compte Alibaba Cloud, un service Alibaba Cloud ou un fournisseur d'identité (IdP).

Contexte

Lors de la création d'un rôle RAM, vous spécifiez les principaux autorisés à l'endosser : un compte Alibaba Cloud, un service Alibaba Cloud ou un fournisseur d'identité (IdP). Il est généralement inutile de modifier la politique d'approbation après la création, mais cette opération reste possible si nécessaire.

Avertissement

La modification du principal dans la politique d'approbation d'un rôle RAM change les entités pouvant endosser le rôle et risque d'interrompre vos services. Nous vous recommandons vivement de tester les modifications sur un compte de test afin de vérifier leur bon fonctionnement avant de les appliquer à un compte de production.

Procédure

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez Identities > Roles.
Sur la page Roles, cliquez sur le nom du rôle RAM cible.
Sous l'onglet Trust Policy, cliquez sur Edit Trust Policy.
Dans l'éditeur, modifiez la politique d'approbation, puis cliquez sur OK.

Exemple 1 : Changer le principal en un compte Alibaba Cloud

Si l'élément Principal contient un champ RAM, le principal du rôle RAM est un Alibaba Cloud Account. Le rôle peut être endossé par des utilisateurs RAM ou des rôles RAM appartenant au compte Alibaba Cloud de confiance.

Autoriser tous les utilisateurs RAM et rôles RAM du compte Alibaba Cloud de confiance à endosser le rôle RAM

La politique d'approbation suivante permet à tout utilisateur RAM ou rôle RAM du compte Alibaba Cloud 123456789012**** d'endosser le rôle.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:root"
                ]
            }
        }
    ],
    "Version": "1"
}

Autoriser uniquement un utilisateur RAM spécifique du compte Alibaba Cloud de confiance à endosser le rôle RAM

L'élément Principal suivant autorise uniquement l'utilisateur RAM testuser du compte Alibaba Cloud 123456789012**** à endosser le rôle.
```
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:user/testuser"
                ]
            }                   
```
Remarque
Lors de la modification de cette politique d'approbation, assurez-vous que l'utilisateur RAM correspondant testuser a bien été créé.
Autoriser uniquement un rôle RAM spécifique du compte Alibaba Cloud de confiance à endosser le rôle RAM

L'élément Principal suivant autorise uniquement le rôle RAM testrole du compte Alibaba Cloud 123456789012**** à endosser le rôle.
```
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:role/testrole"                
                ]
            }                                 
```
Remarque
Lors de la modification de cette politique d'approbation, assurez-vous que le rôle RAM testrole a bien été créé.

Exemple 2 : Changer le principal en un service Alibaba Cloud

Si l'élément Principal contient un champ Service, le principal du rôle RAM est un Alibaba Cloud Service. Le rôle peut être endossé par un service Alibaba Cloud de confiance.

La politique d'approbation suivante permet au service ECS du compte Alibaba Cloud actuel d'endosser le rôle.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "ecs.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Remarque

La politique d'approbation d'un rôle lié à un service est définie par le service cloud associé. Vous ne pouvez pas modifier la politique d'approbation d'un rôle lié à un service. Pour plus d'informations, consultez la rubrique Rôles liés à un service.

Exemple 3 : Changer le principal en un fournisseur d'identité (IdP)

Si l'élément Principal contient un champ Federated, le principal du rôle RAM est un IdP. Le rôle peut être endossé par des utilisateurs du fournisseur d'identité de confiance.

Dans l'exemple suivant, le rôle RAM peut être endossé par des utilisateurs du fournisseur d'identité testprovider du compte Alibaba Cloud actuel (AccountID=123456789012****).

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::123456789012****:saml-provider/testprovider"
                ]
            },
            "Condition":{
                "StringEquals":{
                    "saml:recipient":"https://signin.alibabacloud.com/saml-role/sso"
                }
            }
        }
    ],
    "Version": "1"
}